¿Cómo detectar quién está descargando archivos apk en segundo plano?

Probablemente la solución más rápida va a ser cuando se descarga un .apk, ir a la notificación, la prensa de largo, y cuando "App Info" aparece, haga clic en él. Se abrirá en el gestor de aplicaciones la app que se ha descargado. (Puede que no esté disponible en tu teléfono, pero en mi S3 funciona).

Su gestor de aplicaciones es otra fuente de información. Hay demasiados detalles para entrar en ellos, pero por ejemplo una aplicación que se supone que está fuera de línea, mira su uso de datos. Si ha utilizado varios MB de datos, ahí está el culpable.

También podrías reducir los sospechosos mirando los permisos. Si no requiere acceso a la red, no puede descargar nada. (Aunque si esto no funciona, no estoy seguro de la fiabilidad de las etiquetas de permisos si se trata de un troyano).

Cuando esto ocurra, intenta ver las aplicaciones y servicios que se están ejecutando en segundo plano. Lo más probable es que las cosas como aplicaciones de mensajería y otras aplicaciones en ejecución, la aplicación que ha descargado ese archivo apk es más probable que todavía se ejecuta como un servicio.

De hecho, podría ser el navegador (mira si está funcionando). Si no es así, tengo entendido que cualquier aplicación puede desencadenar una descarga en la aplicación "Descargas", por lo que podría no estar relacionado.

Puedes conseguir un task killer/manager para inspeccionar y matar las apps que sospeches que son el origen de esto, pero el que está en la Configuración>Aplicaciones>Ejecución (o similar) debería ser suficiente.

tl;dr Prueba y error. Mata las aplicaciones de las que sospechas y mira si continúa.

Todavía no sé cómo responder a mi pregunta para Android OS 2.x, pero para Android OS 4.x hay una buena característica - se puede pulsar prolongadamente cualquier notificación en la barra de estado y elegir Información de la aplicación menú emergente, que abrirá la pantalla "App info" de la aplicación, lo que se creó esta notificación. Muy buena característica, pero no encontré análogo en OS 2.x

He rooteado mi teléfono y cargado busybox con el terminal y sólo en un capricho, iftop estaba allí. Tanto iftop como tcpdump te dirán todo. tcpdump -i -w myDumpFile.pcap

dejalo correr y cuando creas que ha pasado, detén el tcpdump y lleva el .pcap a wireshark. Lo dirá todo.